%22%3E%3Cstop offset=%220%22 stop-color=%22%23D4A017%22 stop-opacity=%220.30%22/%3E%3Cstop offset=%220.55%22 stop-color=%22%238A6E2F%22 stop-opacity=%220.10%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/linearGradient%3E%3CradialGradient id=%22r%22 cx=%220.82%22 cy=%220.22%22 r=%220.7%22%3E%3Cstop offset=%220%22 stop-color=%22%23E8C040%22 stop-opacity=%220.22%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%230A0A0F%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%23111118%22 opacity=%220.6%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23g)%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23r)%22/%3E%3Cg transform=%22translate(840 150) scale(3.0)%22 fill=%22%23E8C040%22 opacity=%220.09%22%3E%3Cpath d=%22M50 8 L84 20 V46 C84 70 68 86 50 92 C32 86 16 70 16 46 V20 Z%22/%3E%3C/g%3E%3Crect x=%2280%22 y=%22270%22 width=%2264%22 height=%226%22 rx=%223%22 fill=%22%23D4A017%22/%3E%3Ctext x=%2280%22 y=%2292%22 font-family=%22ui-monospace, 'SFMono-Regular', monospace%22 font-size=%2226%22 letter-spacing=%223%22 fill=%22%238484A0%22%3EDROKIO%3C/text%3E%3Ctext x=%2280%22 y=%22356%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3ETurla’s STOCKSTAY Backdoor: A%3C/text%3E%3Ctext x=%2280%22 y=%22420%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3ENew Windows Malware Strain%3C/text%3E%3Ctext x=%2280%22 y=%22484%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EHits Ukraine and Italy — and…%3C/text%3E%3Crect x=%220.5%22 y=%220.5%22 width=%221199%22 height=%22629%22 fill=%22none%22 stroke=%22%232A2A3A%22 stroke-width=%221%22/%3E%3C/svg%3E)
Basado en información de The Hacker News →
Introducción
Un backdoor .NET que no para de evolucionar y que, según Google, está siendo utilizado por el grupo ruso Turla para espiar a gobiernos, militares ucranianos y entidades con intereses en la política exterior italiana. No es un malware más: es una amenaza persistente y hecha a medida.
El problema
Según reporta The Hacker News, el grupo de amenaza persistente avanzada (APT) patrocinado por el Estado ruso conocido como Turla ha sido vinculado al uso de un backdoor previamente no documentado para Windows, bautizado como STOCKSTAY. Esta herramienta, descrita por el Google Threat Intelligence Group como un backdoor .NET en continuo desarrollo, ha sido desplegada contra organizaciones gubernamentales y militares en Ucrania, así como contra entidades que muestran interés en la política exterior de Italia.
Consecuencias
Lo que está en juego aquí no es solo la confidencialidad de datos sensibles: es la capacidad de un actor estatal de mantener acceso persistente a infraestructuras críticas durante años, posiblemente para influir en decisiones políticas o militares. Un backdoor que los analistas consideran "en desarrollo continuo" implica que Turla puede añadir módulos de exfiltración, robo de credenciales o incluso destrucción de datos sobre la marcha.
Causas
La causa raíz de este incidente no es una vulnerabilidad de día cero ni un error de configuración: es la combinación de ingeniería social dirigida, probablemente spear-phishing, y la explotación de confianza en aplicaciones legítimas de Windows. Turla es conocido por usar técnicas de living-off-the-land (LotL) para evadir detección, y STOCKSTAY parece seguir esa misma línea: un binario .NET que, una vez ejecutado, se integra silenciosamente en procesos del sistema.